핵심 요약 영국과 한국 사이의 개인정보 이전은 EU와 같은 구조가 아닙니다. 영국에서 한국으로 보내는 것은 영국의 적정성 규정(SI 2022/1213)으로 열려 있고, 이 규정은 EU 결정과 달리 보완규정 준수 조건도 신용정보 제외도 두지 않습니다. 반대로 한국에서 영국으로 보낼 때는 동등성 인정을 쓸 수 없습니다. 개인정보보호위원회의 인정 대상이 EU 27개국과 EEA 3개국이고 영국은 그 어느 쪽도 아니기 때문입니다. 방향마다 근거가 다르므로 EU와 영국 데이터를 한 절차로 묶어 둔 회사는 한쪽을 과잉 준수하거나 다른 쪽을 근거 없이 보내고 있을 수 있습니다.
본사가 런던에 있고 EU에도 법인이 있는 회사의 국외이전 대장을 열어 보면, EU와 영국이 한 줄에 묶여 있는 경우가 있습니다. 근거란에는 “적정성 결정"이라고만 적혀 있습니다.
브렉시트 이후 두 제도는 갈라졌고, 한국 쪽 근거는 더 크게 갈라져 있습니다.
영국에서 한국으로 보낼 때는 무엇이 다른가?
영국은 2022년 12월 19일 시행된 규정으로 한국을 적정 국가로 지정했습니다(The Data Protection (Adequacy) (Republic of Korea) Regulations 2022). 대상은 “한국 개인정보 보호법의 적용을 받는 자"이고, 그 외의 조건은 붙어 있지 않습니다.
EU 결정과 나란히 놓으면 차이가 분명합니다.
| EU → 한국 (결정 2022/254) | 영국 → 한국 (SI 2022/1213) | |
|---|---|---|
| 조건 | 부속서 I의 보완규정 준수가 조건 (제1조 제1항) | 조건 없음 |
| 제외 | 선교활동 종교단체, 후보추천 정당, 금융위 감독 개인신용정보 처리 (제1조 제2항) | 제외 없음 |
| 감독기관 | 개인정보보호위원회 | 개인정보보호위원회와 금융위원회 |
영국 규정에는 EU의 보완규정에 해당하는 층이 없습니다. EU에서 받은 데이터에만 따로 붙여 두던 목적 제한·간접수집 통지 같은 의무를 영국발 데이터에도 똑같이 적용하고 있다면, 그것은 계약상 약속이지 영국법이 요구하는 것은 아닙니다.
한국에서 영국으로 보낼 때는?
이 방향에서 근거가 하나 줄어듭니다.
법 제28조의8 제1항은 국외 이전을 원칙적으로 금지하면서 다섯 가지 예외를 둡니다. 별도 동의(제1호), 법률·조약의 특별 규정(제2호), 계약 이행에 필요한 처리위탁·보관(제3호), 인증(제4호), 그리고 동등성 인정(제5호)입니다.
이 중 제5호는 영국에 쓸 수 없습니다. 공고 제2025-68호는 이전할 수 있는 상대를 “EU 일반 개인정보 보호법(GDPR)을 적용받는 EU 역내 국가 27개국 및 유럽경제지역(EEA)에 포함되는 3개국(노르웨이, 리히텐슈타인, 아이슬란드)의 컨트롤러 또는 프로세서"로 적고 있습니다. 영국은 EU 회원국도 EEA 회원국도 아닙니다.
즉 영국은 한 방향으로만 열려 있습니다. 본사가 한국법인 데이터를 그룹 시스템으로 끌어가는 구조라면 그 흐름이 바로 이 방향이고, 남은 근거는 동의나 제3호의 계약 관련 예외입니다.
신용정보는 어느 방향으로도 적정성이 닿지 않는다
EU 결정 제1조 제2항 다목은 “신용정보법에 따라 개인신용정보를 처리하는 것과 관련하여 금융위원회의 감독을 받는 자"를 그 처리에 관한 한 범위에서 제외합니다. 반대 방향도 마찬가지입니다. 공고 제2025-68호는 “주민등록법 제7조의2에 따른 주민등록번호와 신용정보의 이용 및 보호에 관한 법률 제2조 제2호에 따른 개인신용정보의 이전에 관해서는 영향을 미치지 아니한다"고 명시합니다.
한국과 EU 사이에서 신용정보는 양방향 모두 적정성 밖에 있습니다. 금융·핀테크 외국계라면 여기가 실제 쟁점입니다. 영국 규정이 감독기관에 금융위원회를 함께 든 것은 이 대목에서 EU와 갈리는 지점입니다.
9월 11일 개정법은 어느 쪽에 먼저 반영되나?
영국 규정은 한국 개인정보 보호법을 “수시로 효력을 갖는 그대로”(as that Act forms part of the law of the Republic of Korea and has effect from time to time) 참조합니다. 개정법이 시행되면 그 개정법이 곧바로 준거가 됩니다.
EU 쪽은 다릅니다. 결정 제3조 제4항은 통보 후 3년, 그 뒤로는 최소 4년마다 집행위원회가 평가하도록 정하고 있고, 2026년 7월 23일 마무리된 첫 재검토는 그 이전의 개정까지를 대상으로 했습니다. 재검토의 내용과 예고된 변화는 EU 적정성 결정 첫 재검토에 정리해 두었습니다.
지금 확인할 것
국외이전 대장에서 EU와 영국이 한 줄에 묶여 있는지, 그리고 방향이 구분돼 있는지부터입니다. 들어오는 흐름과 나가는 흐름은 근거가 다르므로 한 줄로 관리할 수 없습니다.
처리방침의 국외이전 항목도 같이 봐야 합니다. 법 제28조의8 제2항 각 호의 다섯 가지 기재사항은 이전받는 국가와 근거를 특정하도록 돼 있어서, 대장이 뭉개져 있으면 처리방침도 뭉개집니다.
이 확인이 평상시에는 서류 정리로 보이지만 사고가 나면 성격이 달라집니다. 유출 조사에서 개인정보위는 어떤 데이터가 어디로 어떤 근거로 나갔는지를 봅니다. 그때 근거란이 “적정성 결정"이라고만 적혀 있고 상대가 영국이면, 그 한 줄이 이전 자체의 적법성 문제로 넘어갑니다. 본사 절차서와 한국법이 어긋나는 다른 지점은 본사 인시던트 대응 플레이북을 한국에 그대로 적용할 수 있나에, 사고 인지 후의 시간표는 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에 있습니다.
자주 묻는 질문
EU 적정성 결정과 영국 적정성 규정은 같은 것인가요?
다릅니다. EU 결정(2022/254)은 제1조 제1항에서 부속서 I의 보완규정 준수를 조건으로 달고, 제1조 제2항에서 선교활동을 하는 종교단체, 후보자 추천 맥락의 정당, 그리고 신용정보법에 따라 금융위원회의 감독을 받는 개인신용정보 처리를 범위에서 제외합니다. 영국 규정(SI 2022/1213)에는 그런 조건도 제외도 없고, 감독기관으로 개인정보보호위원회와 금융위원회를 나란히 들고 있습니다.
한국에서 영국으로 개인정보를 보낼 때 동등성 인정을 쓸 수 있나요?
쓸 수 없습니다. 공고 제2025-68호(2025년 9월 16일, 관보 제21079호)는 이전 상대를 GDPR을 적용받는 EU 역내 27개국과 EEA 3개국(노르웨이, 리히텐슈타인, 아이슬란드)의 컨트롤러 또는 프로세서로 적고 있고, 영국은 EU 회원국도 EEA 회원국도 아닙니다. 따라서 한국에서 영국으로 보낼 때는 법 제28조의8 제1항의 다른 호, 즉 별도 동의나 계약 이행에 필요한 처리위탁·보관, 인증 등을 따로 검토해야 합니다.
9월 11일 개정법이 적정성에 영향을 주나요?
영국 규정은 한국 개인정보 보호법을 ‘수시로 효력을 갖는 그대로’(as it has effect from time to time) 참조하므로 개정법이 자동으로 준거가 됩니다. EU 결정은 집행위원회가 정기적으로 평가하는 구조이고, 2026년 7월 재검토는 그 이전 개정까지를 대상으로 했습니다. 같은 개정이 한쪽에는 곧바로 들어가고 다른 쪽에는 다음 평가까지 반영되지 않는 셈입니다.
참고 자료
- Commission Implementing Decision (EU) 2022/254 of 17 December 2021 (대한민국 적정성 결정) 제1조 제1항·제2항, 제3조 제4항
- The Data Protection (Adequacy) (Republic of Korea) Regulations 2022 (SI 2022/1213) 제2조 제2항, 제3조. 근거는 Data Protection Act 2018 제17A조, 2022년 12월 19일 시행
- 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행) 제28조의8 제1항 각 호·제2항 각 호
- 개인정보보호위원회 공고 제2025-68호 「유럽연합(EU) 개인정보보호 체계 동등성 인정 공고」(2025년 9월 16일, 관보 제21079호). 근거는 개인정보 보호법 제28조의8과 같은 법 시행령 제29조의9
- 이 글은 2026년 7월 31일 기준입니다. 개인정보보호위원회는 동등성 인정을 영국·일본 등으로 확대하는 방안을 검토하고 있다고 밝힌 바 있어, 영국이 대상에 추가되면 이 글의 두 번째 절이 바뀝니다